सर्टिफिकेट अथॉरिटी (CA): परिभाषा, कार्य, प्रकार और उदाहरण
एक सर्टिफिकेट अथॉरिटी (Certificate Authority - CA) एक विश्वसनीय तृतीय-पक्ष इकाई है जो डिजिटल सर्टिफिकेट जारी करती है। ये सर्टिफिकेट एक इकाई (वेबसाइट, संगठन, व्यक्ति, डिवाइस) की पहचान को उसकी पब्लिक की से बाँधते हैं, जिससे सुरक्षित संचार (TLS/SSL) संभव होता है।
1. CA का मुख्य उद्देश्य
- पहचान सत्यापन: अनुरोधकर्ता की पहचान जाँचता है (डोमेन नियंत्रण, संगठन दस्तावेज़, आदि)।
- डिजिटल सर्टिफिकेट जारी करना: पब्लिक की, पहचान जानकारी, वैधता अवधि, CA के हस्ताक्षर वाला X.509 सर्टिफिकेट बनाता है।
- भरोसे की श्रृंखला (Chain of Trust): ब्राउज़र/OS में पूर्व-स्थापित रूट CA सर्टिफिकेट्स के माध्यम से अंतिम-इकाई सर्टिफिकेट पर भरोसा सक्षम करता है।
- रद्दीकरण प्रबंधन: CRL (सर्टिफिकेट रद्दीकरण सूची) और OCSP (ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल) के माध्यम से समझौता/समाप्त सर्टिफिकेट्स की स्थिति प्रकाशित करता है।
2. CA के प्रकार
- रूट CA (Root CA): विश्वास का अंतिम स्रोत। इसका सर्टिफिकेट स्व-हस्ताक्षरित होता है। ब्राउज़र/OS रूट स्टोर में शामिल। अत्यधिक सुरक्षित, ऑफ़लाइन रखा जाता है।
- सबऑर्डिनेट/इंटरमीडिएट CA (Subordinate/Intermediate CA): रूट CA द्वारा हस्ताक्षरित। अंतिम-इकाई सर्टिफिकेट जारी करता है। समझौता होने पर रद्द किया जा सकता है बिना रूट को प्रभावित किए।
- पब्लिक CA: सार्वजनिक इंटरनेट के लिए सर्टिफिकेट जारी करता है (जैसे DigiCert, Sectigo, GlobalSign, Let's Encrypt)। ब्राउज़रों द्वारा विश्वसनीय।
- प्राइवेट/एंटरप्राइज CA: संगठन आंतरिक उपयोग के लिए चलाता है (Microsoft AD CS, Smallstep, HashiCorp Vault, Venafi)। केवल संगठन के डिवाइस/उपयोगकर्ता इस पर भरोसा करते हैं।
3. प्रमुख पब्लिक CAs (बाजार हिस्सेदारी अनुमान)
- IdenTrust (मुख्य रूप से Let's Encrypt क्रॉस-साइन)
- DigiCert (Symantec, GeoTrust, Thawte, RapidSSL शामिल)
- Sectigo (पहले Comodo CA)
- GoDaddy
- GlobalSign
- Let's Encrypt (मुफ्त, स्वचालित, डोमेन-सत्यापित – सबसे अधिक जारीकर्ता)
4. सर्टिफिकेट प्राप्त करने की प्रक्रिया
- की जोड़ी जनरेट करें: निजी की (गुप्त) + पब्लिक की (सर्टिफिकेट में जाएगी)।
- CSR (सर्टिफिकेट साइनिंग रिक्वेस्ट) बनाएँ: पब्लिक की + पहचान जानकारी (CN, O, OU, देश, आदि) शामिल होती है। निजी की से हस्ताक्षरित।
- CA को CSR सबमिट करें: वेब फॉर्म, API (ACME), या एजेंट के माध्यम से।
- सत्यापन: CA प्रकार के अनुसार सत्यापित करता है:
• DV (डोमेन सत्यापन): डोमेन नियंत्रण (ईमेल, DNS, HTTP)।
• OV (संगठन सत्यापन): संगठन का कानूनी अस्तित्व + डोमेन।
• EV (विस्तारित सत्यापन): सख्त कानूनी/परिचालन जाँच (ब्राउज़र एड्रेस बार में हरा बार)। - सर्टिफिकेट जारी करना: CA अपने निजी की से CSR पर हस्ताक्षर करता है, सर्टिफिकेट लौटाता है।
- इंस्टॉलेशन: सर्वर/डिवाइस पर निजी की + सर्टिफिकेट + इंटरमीडिएट चेन स्थापित करें।
5. CA की नेटवर्क सुरक्षा में भूमिका
- TLS/SSL (HTTPS): वेबसाइट प्रमाणीकरण और एन्क्रिप्शन।
- म्यूचुअल TLS (mTLS): क्लाइंट और सर्वर दोनों प्रमाणित होते हैं (माइक्रोसर्विसेज, API, IoT)।
- VPN/वाई-फाई (EAP-TLS): उपयोगकर्ता/डिवाइस सर्टिफिकेट आधारित प्रमाणीकरण।
- कोड साइनिंग: सॉफ़्टवेयर/फर्मवेयर अखंडता और स्रोत प्रमाणीकरण।
- दस्तावेज़/ईमेल साइनिंग (S/MIME): गैर-अस्वीकृति और गोपनीयता।
- IoT डिवाइस पहचान: प्रत्येक डिवाइस को अद्वितीय सर्टिफिकेट (X.509) देकर प्रमाणीकरण।
6. CA सुरक्षा और भरोसा
- CA/Browser Forum बेसलाइन आवश्यकताएँ मानक निर्धारित करती हैं।
- रूट CA कुंजियाँ HSM (हार्डवेयर सुरक्षा मॉड्यूल) में संग्रहीत, ऑफ़लाइन।
- नियमित ऑडिट (WebTrust, ETSI)।
- समझौता होने पर रूट को ब्राउज़र रूट स्टोर से हटाया जाता है (जैसे DigiNotar, Symantec घटनाएँ)।
7. "सर्टिफिकेट ऑफ अथॉरिटी" (कानूनी) vs "सर्टिफिकेट अथॉरिटी" (तकनीकी)
सर्टिफिकेट ऑफ अथॉरिटी एक कानूनी दस्तावेज है जो किसी विदेशी इकाई को किसी राज्य/देश में व्यवसाय करने का अधिकार देता है। सर्टिफिकेट अथॉरिटी (CA) तकनीकी PKI इकाई है। दोनों अलग हैं।
8. अक्सर पूछे जाने वाले प्रश्न
प्रश्न: क्या मैं अपनी खुद की CA चला सकता हूँ?
उत्तर: हाँ, एंटरप्राइज PKI के लिए (Microsoft AD CS, Smallstep, CFSSL, Vault)। केवल आंतरिक भरोसे के लिए।
प्रश्न: Let's Encrypt क्या है?
उत्तर: मुफ्त, स्वचालित, खुला CA जो केवल DV सर्टिफिकेट जारी करता है (90 दिन वैधता)। ACME प्रोटोकॉल उपयोग करता है।
प्रश्न: सर्टिफिकेट कब रद्द होता है?
उत्तर: निजी की समझौता, डोमेन स्वामित्व परिवर्तन, संगठन विवरण परिवर्तन, CA नीति उल्लंघन।
